Kamera VLAN Neden Gerekli?

Birçok işletmede IP kameralar, bilgisayarlar, yazıcılar ve sunucularla aynı ağda çalışır. Kurulum kolaydır, ama bu düz ağ yapısı hem güvenlik hem performans açısından risk taşır. Bu rehber kamera ağını neden ayırmak gerektiğini, nasıl bir segment modeli kurulacağını ve geçişin kesintisiz nasıl yapılacağını anlatır.

Neden ayrı bir kamera ağı?

Güvenlik

Kameralar ağ üzerinde çalışan gömülü bilgisayarlardır. Sayıları fazladır, fiziksel olarak erişilebilir yerlerde dururlar ve çoğu zaman kurumsal bilgisayarlar kadar sık güncellenmezler. Kamera ve NVR ürünlerini etkileyen güvenlik açıkları, istismar edilen açıklar listelerinde düzenli olarak yer alır. Düz bir ağda ele geçirilen tek bir kamera, saldırgana kurumsal sistemlere doğrudan erişim için bir basamak olabilir. Segmentasyon bu yayılmayı sınırlar.

Performans

Video trafiği süreklidir ve yüksektir. 50 kameranın ortalama 3 Mbps ürettiği bir sistem sürekli 150 Mbps taşır. Multicast akışlar doğru yönetilmezse ağdaki tüm portlara taşabilir. Ayrı segment ve uygun QoS/IGMP ayarları video trafiğinin iş uygulamalarını etkilemesini önler.

Yönetim ve denetim

Ayrı bir adres bloğu envanteri, izlemeyi ve olay incelemesini kolaylaştırır. TISAX ve ISO 27001 gibi çerçevelerde ağ ayrımı ve erişim kontrolü kanıtı istenirken belgelenmiş bir segment yapısı doğrudan kullanılabilir.

Önerilen segment modeli

Segment	İçerik	Örnek adres
Kamera VLAN’ı	IP kameralar, enkoderler	VLAN 30 · 10.30.0.0/22
Kayıt segmenti	NVR, VMS kayıt ve yönetim sunucuları	VLAN 31 · 10.31.0.0/24
İstemci segmenti	Güvenlik operatörü iş istasyonları, video wall	VLAN 32 · 10.32.0.0/24
Yönetim ağı	Switch, kamera ve NVR yönetim erişimi	VLAN 99 · ayrı ve kısıtlı

Küçük sistemlerde kamera ve kayıt aynı segmentte olabilir; önemli olan kameraların kurumsal kullanıcı ağından ve internetten ayrılması ve aradaki trafiğin kurala bağlanmasıdır. Üretim tesislerinde kamera ağı ayrıca OT (üretim kontrol) ağından da ayrılmalıdır; NIST SP 800-82 OT ortamlarında bölgeleme ve kontrollü geçiş yaklaşımını önerir.

Akış matrisi: kim kiminle konuşabilir?

• Kameralar → kayıt sunucusu: yalnızca VMS’in kullandığı akış ve yönetim portları
• Kameralar → NTP sunucusu: zaman senkronu
• İstemciler → VMS sunucusu: VMS istemci portları (istemciler kameralara doğrudan bağlanmaz)
• Yönetim ağı → kameralar, NVR, switch: HTTPS ve SSH, yalnızca yetkili yöneticiler
• Kameralar → internet: varsayılan olarak kapalı; gerekirse belirli güncelleme sunucularına kontrollü izin
• Kurumsal kullanıcı ağı → kamera ağı: kapalı

Port numaraları kullanılan VMS ve cihazların resmi dokümantasyonundan alınır ve matriste gerekçesiyle yazılır. Bu matris segmentasyon projemizin ana çıktısıdır.

Multicast ve IGMP

Bazı VMS’ler canlı izlemede multicast kullanır. Switch’lerde IGMP snooping etkin değilse multicast trafik tüm portlara gönderilir. Kamera VLAN’ında IGMP snooping açılmalı ve segmentte bir IGMP querier bulunmalıdır. Multicast kullanılmıyorsa bu ayarlar yine de beklenmeyen trafiği sınırlamak için faydalıdır.

Uzaktan erişim: port yönlendirme yerine

NVR’a internetten port yönlendirme ile erişim vermek, cihazı otomatik taramalara açar. Doğru yöntem VPN veya güvenlik özellikleri değerlendirilmiş bir aracı servis, kişisel kullanıcı ve mümkünse çok faktörlü doğrulamadır (güvenli uzaktan erişim).

Kesintisiz geçiş adımları

1. Envanter: tüm kamera, NVR ve istemcilerin IP, MAC, switch portu ve bağımlılıkları.
2. Hedef IP planı ve akış matrisi; firewall kurallarının önceden hazırlanması.
3. Kayıt sunucusunun yeni segmente erişiminin hazırlanması (gerekirse iki arayüz).
4. Kameraların grup grup yeni VLAN’a alınması, her grup sonrası kayıt doğrulaması.
5. Eski erişimlerin kapatılması ve kuralların tarama ile doğrulanması.

Sık sorulan sorular

VLAN tek başına güvenlik sağlar mı?

Hayır. VLAN mantıksal ayrım sağlar; güvenlik, VLAN’lar arasındaki trafiği sınırlayan firewall veya ACL kurallarıyla elde edilir. Kuralsız VLAN’lar arasında yönlendirme serbestse ayrım kağıt üzerinde kalır.

Kameralar DHCP kullanabilir mi?

Kullanılabilir, ancak adres değişikliğinin kayıt bağlantısını kesmemesi için DHCP rezervasyonu veya statik adresleme tercih edilir; envanterde IP–cihaz eşleşmesi tutulur.

Mobil izleme için port açmak gerekiyor mu?

Hayır. Port yönlendirme yerine VPN veya güvenlik özellikleri değerlendirilmiş bir aracı erişim servisi kullanılmalıdır.

Segmentasyon, cihaz sıkılaştırmasıyla birlikte ele alındığında anlam kazanır; kontrol maddeleri için IP kamera ve NVR siber güvenlik kontrol listemize bakabilirsiniz.